É uma espécie de classificação.. quanto mais para cima, melhor (segurança, ROI, nível do projeto)..

Quanto as "promessas", acho que ainda não foram avaliados, seja pelo pouco tempo ou por ainda não terem sido lançados.